Pontos principais
- Aplicativos de terceiros são programas de fornecedores externos que rodam sobre um sistema operacional ou plataforma e podem acessar recursos do dispositivo, identidades ou dados.
- Aplicativos próprios da plataforma e aplicativos de sistema seguem o ciclo de segurança e atualização do fornecedor da plataforma; os de terceiros seguem as práticas de cada fornecedor.
- Entre os riscos mais comuns estão vulnerabilidades sem correção, permissões excessivas, compartilhamento externo de dados e exposição na cadeia de suprimentos.
- O risco varia conforme a categoria, e cada uma delas (aplicativos de endpoint, aplicativos móveis, extensões de navegador, integrações SaaS, aplicativos SaaS e ferramentas de IA) exige visibilidade e controles diferentes.
- A governança cobre todo o ciclo de vida: da aprovação e revisão de acessos até atualizações, patches e desativação.
- O envolvimento de terceiros em violações chegou a 48% no Verizon Data Breach Investigations Report de 2026, ante 30% no ano anterior.
- NinjaOne ajuda as equipes de TI a inventariar aplicativos instalados, acompanhar e implantar patches de aplicativos de terceiros e aplicar políticas de instalação e remoção a partir de um único.
Um aplicativo de terceiros é qualquer programa de um fornecedor externo instalado sobre um sistema operacional ou plataforma. Como cada fornecedor define suas próprias práticas de atualização e segurança, as equipes de TI precisam de um processo definido para aprovar, revisar, corrigir e desativar esses aplicativos. Este guia foi escrito para equipes internas de TI e segurança e cobre definições, riscos, categorias de aplicativos e governança de ciclo de vida.
Em resumo
| Tarefa | Objetivo e valor |
| O que caracteriza um aplicativo de terceiros | Define quais aplicativos exigem supervisão e governança específicas. |
| Diferenças entre aplicativos de terceiros, aplicativos próprios e aplicativos de sistema | Esclarece por que aplicativos de terceiros pedem controles diferentes dos aplicados a softwares nativos. |
| Por que aplicativos de terceiros aumentam o risco | Mostra como aplicativos externos trazem riscos de segurança, acesso e cadeia de suprimentos. |
| Categorias de aplicativos de terceiros | Permite controles baseados em risco conforme o tipo de aplicativo e a profundidade da integração. |
| Como governar aplicativos de terceiros ao longo do ciclo de vida | Garante supervisão consistente da instalação à desativação para reduzir a exposição no longo prazo. |
O que caracteriza um aplicativo de terceiros
Saber o que conta como aplicativo de terceiros indica quais deles precisam de supervisão específica. Alguns exemplos: Adobe Reader, Google Chrome e Java em endpoints;, aplicativos móveis instalados de uma loja de aplicativos;, extensões de navegador;, assistentes de IA;, e serviços em nuvem conectados por APIs ou OAuth
Um aplicativo de terceiros é qualquer aplicativo que seja:
- Desenvolvido por um fornecedor externo: quem cria e mantém o aplicativo é um fornecedor externo, não o fornecedor do sistema operacional ou da plataforma.
- Instalado sobre um sistema operacional ou plataforma: o aplicativo roda sobre um sistema operacional ou plataforma existente, sem fazer parte dele.
- Autorizado a acessar recursos do sistema, identidade ou dados: esses aplicativos costumam exigir permissões de acesso a recursos do dispositivo, identidades de usuários ou dados organizacionais para funcionar corretamente.
A governança de acesso de terceiros é o conjunto de controles de aprovação, revisão de permissões e remoção que limita o que os aplicativos de terceiros podem acessar.
Diferenças entre aplicativos de terceiros, aplicativos próprios e aplicativos de sistema
Para entender por que a supervisão precisa ser diferenciada, vale comparar os aplicativos de terceiros com aqueles integrados ao sistema operacional. Veja o que define um aplicativo próprio e um aplicativo de sistema:
- Aplicativos próprios são desenvolvidos pelo fornecedor da plataforma e seguem o ciclo de segurança e atualização desse fornecedor.
- Aplicativos de sistema são componentes essenciais para o funcionamento do sistema operacional. Como fazem parte integrante dele, usuários comuns em geral não conseguem removê-los.
Já os aplicativos de terceiros são diferentes porque:
- as práticas de desenvolvimento variam muito de um fornecedor para outro;
- o ritmo de atualização é inconsistente ou depende do usuário;
- a postura de segurança depende do fornecedor.
| Tipo de aplicativo | Quem desenvolve | Ciclo de atualização e segurança | Quem pode remover |
| Aplicativo próprio | O fornecedor da plataforma | Segue o ciclo do fornecedor da plataforma | O usuário ou um administrador |
| Aplicativo de sistema | O fornecedor da plataforma | Em geral atualizado junto com o sistema operacional | Em geral não pode ser removido por usuários comuns |
| Aplicativo de terceiros | Um fornecedor externo | Definido por cada fornecedor e muitas vezes conduzido pelo usuário | O usuário ou um administrador, conforme a política |
Por que aplicativos de terceiros aumentam o risco
Como mostramos acima, é a falta de controle uniforme que torna o software de terceiros um desafio de governança à parte. Por causa dessas fragilidades, aplicativos de terceiros podem trazer os riscos a seguir:
- Vulnerabilidades sem correção: falhas de segurança em aplicativos de terceiros que continuam exploráveis porque as atualizações atrasam, passam batido ou não são aplicadas de forma centralizada (veja como aplicar patches em aplicativos de terceiros).
- Permissões excessivas: pedidos de acesso além do que o aplicativo precisa para funcionar, o que amplia o impacto caso ele seja comprometido ou usado de forma indevida.
- Compartilhamento de dados com serviços externos: transmissão ou armazenamento de dados organizacionais fora da plataforma principal, muitas vezes regidos pelas próprias práticas de privacidade e segurança do fornecedor.
- Integrações profundas: risco trazido pelas dependências do aplicativo, pelos mecanismos de atualização ou por fornecedores upstream, em que código ou atualizações comprometidos podem chegar a ambientes confiáveis.
A exposição a terceiros vem crescendo. O Verizon Data Breach Investigations Report de 2026 apontou que 48% das violações envolveram um terceiro, ante 30% no ano anterior. A Verizon divide essa exposição em três tipos: um fornecedor na cadeia de suprimentos de software, um fornecedor que hospeda os dados da empresa e um fornecedor conectado ao ambiente. Em uma campanha descrita no relatório, invasores roubaram tokens OAuth de um aplicativo conectado e os usaram para extrair dados de clientes de uma plataforma SaaS.
A Verizon também aponta a exploração de vulnerabilidades como a principal forma de acesso inicial dos invasores, à frente do roubo de credenciais. Isso faz da aplicação ágil de patches em aplicativos de terceiros um controle essencial.
Categorias de aplicativos de terceiros
Já vimos que aplicativos de terceiros podem trazer vulnerabilidades, mas nem todos representam o mesmo nível de risco: isso depende da categoria. As mais comuns são:
- Aplicativos de endpoint: softwares instalados em desktops e notebooks gerenciados pela organização.
- Aplicativos móveis: programas que rodam em dispositivos móveis.
- Extensões de navegador: ferramentas que auxiliam na navegação e podem alterar conteúdo e sessões web.
- Integrações SaaS: aplicativos em nuvem conectados por APIs ou OAuth.
- Aplicativos SaaS: aplicativos que rodam na nuvem e são acessados pelo navegador.
- Ferramentas e assistentes de IA: assistentes de chat, extensões de IA para navegador e agentes de IA adotados pelos funcionários, muitas vezes com acesso a dados da empresa.
Lembre-se de que cada categoria exige níveis diferentes de visibilidade, controles e processos de revisão. Revise os aplicativos de terceiros no seu sistema operacional ou plataforma e aplique políticas de segurança conforme a categoria de cada um.
Como governar aplicativos de terceiros ao longo do ciclo de vida
Gerenciar aplicativos de terceiros com eficácia não se resume a uma decisão de aprovação pontual. Exige monitoramento, avaliação e governança contínuos em todo o ciclo de vida, com os seguintes elementos:
- Aprovação: critérios claros de instalação e uso
- Revisão de acessos: validação de permissões e integrações, incluindo concessões de consentimento OAuth
- Atualizações e patches: avaliação contínua das atualizações do fornecedor
- Desativação: remoção dos aplicativos que não são mais necessários
Os padrões das plataformas já ajudam nessa etapa. Em tenants que usam a política de consentimento gerenciada pela Microsoft, a empresa exige aprovação do administrador para aplicativos de terceiros que solicitam acesso a arquivos, sites e alguns dados de caixa de correio e do Teams. Inclua a análise dessas solicitações de consentimento no seu processo de aprovação.
Tratar aplicativos de terceiros como ativos permanentes, sem reavaliação, aumenta a exposição no longo prazo, principalmente à medida que as necessidades do negócio e o cenário de ameaças mudam. Mesmo aplicativos de fornecedores reconhecidos trazem riscos por causa das permissões, do ritmo de atualização e das dependências. Governá-los ao longo do ciclo de vida mantém esse risco visível e administrável.
A que ficar atento
Alguns fatores merecem atenção na hora de gerenciar aplicativos de terceiros:
- Permanência: aplicativos de terceiros costumam continuar no ambiente mesmo depois que a necessidade original acaba.
- Uso de TI invisível: a TI invisível aparece com frequência na forma de ferramentas de terceiros não gerenciadas.
- Lacunas de controle: aplicativos móveis e SaaS podem driblar os controles tradicionais de endpoint.
- Verificação contínua: confiar no fornecedor não substitui a verificação contínua.
- Ferramentas de IA não autorizadas: funcionários podem conectar assistentes de IA e extensões de navegador aos dados da empresa antes de qualquer análise da TI.
Problemas comuns e como resolvê-los
O gerenciamento de aplicativos de terceiros pode esbarrar em alguns obstáculos. Veja os problemas mais comuns e as possíveis soluções.
| Problemas | Possíveis soluções |
|---|---|
| Comportamento inesperado ou acesso a dados | Revise as permissões dos aplicativos de terceiros |
| Incidentes de segurança sem comprometimento do sistema operacional | Investigue softwares e integrações externas |
| Lacunas de patches | Confirme se os aplicativos de terceiros estão no escopo das atualizações |
| Ferramentas instaladas pelo usuário | Reavalie os processos de aprovação e descoberta |
Como NinjaOne ajuda a gerenciar aplicativos de terceiros
NinjaOne dá às equipes de TI um único console para encontrar, atualizar e controlar aplicativos de terceiros nos dispositivos gerenciados
- Inventário de softwares instalados: NinjaOne Endpoint Management lista os softwares instalados nos dispositivos gerenciados, para que a TI identifique aplicativos não autorizados e desatualizados.
- Patches para aplicativos de terceiros compatíveis: NinjaOne Autonomous Patch Management verifica os endpoints gerenciados em busca de softwares de terceiros desatualizados e aplica as atualizações conforme as políticas e regras de aprovação definidas por você.
- Controle de instalações e remoções: NinjaOne Endpoint Management instala, desinstala e atualiza aplicativos em endpoints Windows, macOS e Linux por meio de automação baseada em políticas.
- Política para aplicativos móveis: NinjaOne MDM gerencia aplicativos em dispositivos iOS e Android por política.
- Gerenciamento de extensões de navegador: NinjaOne Browser Management aplica políticas de navegador e de extensões nos dispositivos gerenciados.
Aplicativos de terceiros e a necessidade de supervisão específica
Aplicativos de terceiros são programas que não vêm integrados ao sistema operacional ou à plataforma. Eles são seguros quando obtidos de fontes confiáveis, mas muitos podem trazer riscos capazes de expor o ambiente de TI a vulnerabilidades. É aí que entra a governança de acesso de terceiros, que mantém a segurança enquanto esses aplicativos são usados.
Principais conclusões:
- Aplicativos de terceiros operam fora dos limites de confiança da plataforma
- O risco depende das permissões, do acesso e do comportamento de atualização
- Uma definição clara viabiliza uma governança consistente
- O gerenciamento do ciclo de vida reduz a exposição no longo prazo
- A supervisão precisa abranger endpoints, SaaS e ambientes móveis
Ao entender o que são os aplicativos de terceiros, como eles se diferenciam dos programas próprios da plataforma e quais riscos podem trazer ao ambiente de TI, dá para reduzir a presença de softwares não gerenciados, limitar acessos desnecessários e implementar uma governança de acesso de terceiros consistente.
Temas relacionados:
- Patches de aplicativos: como aplicar patches em aplicativos de terceiros
- Como priorizar patches de terceiros com base em pontuações de risco do fornecedor
- Como criar uma política de aprovação de SaaS de terceiros para clientes de PMEs
- Como criar uma política de aprovação de SaaS de terceiros para clientes de PMEs (guia em vídeo)
- Como padronizar a propriedade de aplicativos SaaS entre departamentos
